Wat is domeinkaping?

Bij domeinkaping krijgt iemand ongeautoriseerde controle over een domeinnaam die van jou is. Hij haalt het uit je registrar-account, verhuist het naar zichzelf en ineens zijn je website, je e-mail en je online identiteit van iemand anders. Het kan binnen een paar uur gebeuren, en het ongedaan maken kan maanden duren.

Domeinkaping is niet hetzelfde als een naam registreren die op de jouwe lijkt. Dat heet domeinsquatting. Kaping richt zich op een domein dat je al bezit, een domein waar je misschien jaren een merk omheen hebt gebouwd. Het doel van de aanvaller is af te pakken wat jij hebt opgebouwd en het tegen je te gebruiken.

Wat is het verschil tussen domeinkaping en domeinsquatting?

Domeinsquatting is wanneer iemand een domeinnaam registreert die hij niet van plan is te gebruiken, meestal omdat hij overeenkomt met een bekend merk of een populair zoekwoord. De squatter hoopt de naam later met winst te verkopen. Het is vervelend, maar het raakt niets van wat je al bezit.

Domeinkaping is een directe aanval op je bestaande eigendom. De aanvaller breekt in op je registrar-account of laat je registrar de controle uit handen geven. Zodra de verhuizing doorgaat, bezit hij je domein. Je site gaat offline. Je e-mail stopt. Je bezoekers komen op een pagina die jij niet hebt gebouwd. Het verschil tussen squatting en kaping is het verschil tussen iemand die op jouw gereserveerde parkeerplek staat en iemand die je auto steelt.

Hoe gebeurt domeinkaping?

Kapers komen bijna altijd binnen via een van vier methoden. Elke methode misbruikt een andere zwakte, en de meeste domeineigenaren hebben nu minstens één van die gaten open.

Phishingmails

De meest voorkomende methode is een nepmail die lijkt te komen van je domeinregistrar. In het bericht staat dat je domein bijna verloopt, dat er verdachte activiteit op je account is of dat je je identiteit moet bevestigen. Een link in de e-mail brengt je naar een inlogpagina die er precies hetzelfde uitziet als de echte. Vul je daar je gegevens in, dan legt de aanvaller ze vast en logt hij in op je echte account. Vanaf daar start hij een verhuizing en verplaatst hij je domein voordat je het merkt.

Gecompromitteerde e-mailaccounts

Elk registrar-account is gekoppeld aan een e-mailadres. Komt een aanvaller in die e-mail, dan kan hij je registrarwachtwoord resetten via de link "wachtwoord vergeten". Je registrargegevens heeft hij helemaal niet nodig. Hij heeft alleen toegang nodig tot de inbox die de resetlink ontvangt. Een zwak wachtwoord op je e-mailaccount is een achterdeur naar je domein.

Zwakke of hergebruikte wachtwoorden

Aanvallers gebruiken geautomatiseerde tools die gestolen combinaties van gebruikersnaam en wachtwoord uit datalekken testen op honderden websites, waaronder domeinregistrars. Heb je voor je registrar hetzelfde wachtwoord gebruikt als voor een ander account dat ooit is gelekt, dan ligt je domein open. Het maakt niet uit hoe sterk het wachtwoord aanvoelde toen je het maakte. Staat het in een gelekte database, dan is het al gecompromitteerd.

Social engineering

Sommige kapers slaan de technische route helemaal over en bellen de support van je registrar. Ze doen zich voor als jou. Ze beweren dat ze de toegang tot hun account kwijt zijn en vragen support de inloggegevens te resetten of een verhuizing goed te keuren. Zijn je persoonlijke gegevens zichtbaar in de openbare WHOIS-database, dan heeft de aanvaller je naam, e-mailadres en adres al om zijn verhaal te onderbouwen. Dit is een van de sterkste argumenten om WHOIS-privacy aan te zetten op elk domein dat je bezit.

Wat gebeurt er nadat een domein is gekaapt?

De schade begint direct en verspreidt zich snel.

Je website gaat offline zodra de aanvaller de DNS-instellingen wijzigt. Bezoekers die je adres typen, krijgen een foutpagina, een leeg scherm of erger: een pagina die de aanvaller heeft gebouwd. Zet de aanvaller iets frauduleus neer, dan hangt je merknaam daar nu aan vast.

Je e-mail werkt niet meer. Berichten naar je domein komen terug of gaan rechtstreeks naar de inbox van de aanvaller. Dat geldt ook voor resetmails van elke dienst die aan je domeinmail gekoppeld is. Zodra hij je e-mail beheert, kan hij bij je socialemediaaccounts, betaalverwerkers en elk platform dat dat adres gebruikt voor het herstellen van inloggegevens.

De merkschade stapelt zich snel op. Klanten die je proberen te bereiken, lukt dat niet. Partners die e-mails sturen, krijgen geen antwoord. Houdt de aanvaller het domein lang genoeg vast, dan beginnen je zoekposities te dalen. Links die andere sites naar je content hebben gebouwd, wijzen nu naar de pagina van iemand anders. Hoe langer je buitengesloten bent, hoe moeilijker het is je positie terug te krijgen.

In sommige voorbeelden van domeinkaping neemt de aanvaller contact op met de eigenaar en eist hij betaling om het domein terug te geven. In andere verkoopt hij het aan een derde die misschien niet weet dat het gestolen is. In beide gevallen staat de oorspronkelijke eigenaar met lege handen.

Kun je een gekaapt domein terugkrijgen?

Soms. Maar het proces is traag, onzeker en nooit gegarandeerd.

De eerste stap is meteen contact opnemen met je registrar en de ongeautoriseerde verhuizing melden. Is de verhuizing nog bezig, dan kan de registrar haar misschien bevriezen of terugdraaien. Snelheid doet hier ertoe. Elk uur dat je wacht maakt herstel moeilijker.

Is het domein al naar een andere registrar verplaatst, dan kun je een klacht indienen via het Transfer Dispute Resolution Policy van ICANN. Dit proces is bedoeld voor ongeautoriseerde verhuizingen, maar het duurt 30 tot 60 dagen. Je hebt documentatie nodig die bewijst dat je de rechtmatige eigenaar bent, waaronder de oorspronkelijke registratiebewijzen, betaalgegevens en correspondentie van de registrar.

Juridische stappen zijn een andere optie, maar ze zijn duur en traag. Gerechtelijke bevelen kunnen een registrar dwingen een domein terug te geven, maar is het domein verhuisd naar een registrar in een ander land, dan maken kwesties van rechtsmacht de handhaving ingewikkeld. Sommige gestolen domeinen worden meerdere keren doorverkocht, waardoor een keten van eigenaren ontstaat die moeilijk te ontwarren is.

De eerlijke werkelijkheid is dat veel gekaapte domeinen nooit worden teruggekregen. Het proces geeft de voorkeur aan voorkomen boven genezen.

Hoe zien echte scenario's van domeinkaping eruit?

Stel je een klein e-commercemerk voor dat via zijn website verkoopt. Op een ochtend opent de oprichter zijn laptop en de site is down. Het wachtwoord van het registrar-account is gewijzigd. Het domein wijst nu naar een pagina in een vreemde taal. E-mails van klanten komen terug. Orders die in behandeling waren, kunnen niet worden uitgevoerd, omdat de bevestigingsmails van de betaalverwerker naar een inbox gaan die de oprichter niet meer beheert.

Of denk aan een dienstverlenend merk dat voor klantcommunicatie op e-mail leunt. Een aanvaller neemt het domein over via een gecompromitteerd e-mailaccount. De aanvaller ontvangt nu elke e-mail die naar het merk wordt gestuurd, inclusief facturen, contracten en klantgegevens. Het merk beseft twee dagen niet wat er is gebeurd, omdat de website nog laadt vanuit een versie in de cache van de browser.

In een ander veelvoorkomend scenario laat een domeineigenaar zijn registratie per ongeluk verlopen. Een aanvaller die verlopende domeinen in de gaten houdt, registreert het binnen enkele minuten. Technisch is dit geen kaping, maar het resultaat is hetzelfde. Het merk verliest zijn webadres en heeft geen juridische aanspraak, omdat de registratie was verlopen.

Deze voorbeelden hebben iets gemeen. De schade ging verder dan het verlies van een website. Ze raakte e-mail, klantvertrouwen, omzet en in sommige gevallen gegevensbeveiliging.

Hoe bescherm je jezelf tegen domeinkaping?

Voorkomen komt neer op het sluiten van de vier ingangen die aanvallers gebruiken. Hier is een korte samenvatting.

Schakel domeinvergrendeling (ook verhuisvergrendeling genoemd) in op elk domein dat je bezit. Dit blokkeert elk verhuisverzoek, tenzij je de vergrendeling handmatig uitzet. Gebruik een sterk, uniek wachtwoord voor je registrar-account en schakel tweestapsverificatie in, zodat een gestolen wachtwoord alleen niet genoeg is. Houd je WHOIS-contact-e-mailadres veilig met een eigen sterk wachtwoord en tweestapsverificatie. Schakel WHOIS-privacy in om social-engineeringaanvallen te voorkomen.

Voor de volledige stap-voor-stapuitleg van elke beschermingsmaatregel lees je het hoofdstuk over hoe je je domein beschermt tegen kaping. Die gids behandelt elke verdedigingslaag in detail.

Hoe beschermt WEMASY tegen domeinkaping?

Domeinen die via WEMASY zijn geregistreerd, hebben standaard verhuisvergrendeling aan. WHOIS-privacy is zonder extra kosten bij elke registratie inbegrepen, zodat je persoonlijke gegevens nooit in de openbare database verschijnen. Je domeinbeheer is gekoppeld aan je WEMASY-account, dat tweestapsverificatie ondersteunt.

Automatisch verlengen staat standaard aan, en WEMASY stuurt verlengherinneringen 90, 60 en 30 dagen voor de verloopdatum. Zo verdwijnt het risico dat je een domein kwijtraakt omdat een registratie ongemerkt is verlopen. Meer over functies voor domeinbeveiliging en wat er in elk pakket zit, vind je op de prijzenpagina van WEMASY.

Veelgestelde vragen over domeinkaping

Het volgende hoofdstuk gaat dieper in op domeindiefstal, met hoe gestolen domeinen op de secundaire markt terechtkomen en welke juridische opties eigenaren hebben die hun domein blijvend kwijtraken.